Согласно опубликованному описанию инцидента, связанная с Китаем группа Armory Castle, также известная как UNC5221 и Warp Panda, использовала уязвимость нулевого дня в BeyondTrust Remote Support, ранее называвшемся Bomgar. Утверждается, что 29 августа 2026 года злоумышленники атаковали одно локально размещённое устройство. Эти даты относятся к будущему относительно текущей даты, 2025 года, поэтому сведения об атаке и последующих действиях пока нельзя считать подтверждёнными событиями.
Уязвимости присвоен номер CVE-2026-102764 и оценка 9,3 по CVSS. Причина — недостаточная проверка источника сообщений внутренними компонентами Remote Support. При определённых условиях удалённый атакующий мог выполнять файловые операции на устройстве. Система, которая была доступна из интернета и работала на уязвимой версии во время предполагаемой атаки, в описании рекомендуется считать потенциально скомпрометированной до завершения проверки.
Для клиентов Remote Support SaaS исправления, по имеющимся сведениям, развернули к 9 октября 2026 года. Владельцам локальных устройств на версиях с 24.3.1 по 26.2.3 предписано вручную установить патч BT26-05-RS. Тем, кто использует версию старше 24.3.1, сначала потребуется обновить продукт. CVE-2026-102764 также внесли в каталог известных эксплуатируемых уязвимостей правительства США. Для федеральных ведомств исполнительной ветви власти (FCEB) указан срок установки исправления — 19 октября 2026 года.
Armory Castle, по данным описания, действует как минимум с октября 2023 года и прежде использовала уязвимости нулевого дня в Citrix NetScaler (CVE-2023-4966) и Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282). Среди целей группы — юридические компании, SaaS-провайдеры, организации бизнес-аутсорсинга, технологические структуры и государственные учреждения. Её задача — длительный сбор разведывательной информации.
BeyondTrust связывает тактику группы с предварительным выбором ценных программных продуктов. По оценке компании, злоумышленники поддерживают рабочую модель целевого ПО в AI-среде и постоянно разрабатывают цепочки эксплойтов. Для маскировки они используют коммерческие VPN-узлы и взломанные домашние роутеры, а веб-шеллы помогают повышать привилегии, получать административный контроль и сохранять доступ после перезагрузки. После публичного раскрытия уязвимости группа может перейти от точечных атак к массовому поиску неустановленных обновлений.
В описанном проникновении атакующие получили root-доступ к хосту устройства: скопировали системную оболочку
Имея учётные данные администратора, атакующие перемещались внутри приложения Remote Support и запускали сеансы к системам из списка Jump Item. Получив повышенные права, они открывали удалённые сеансы к внутренним узлам и добивались полного доступа к их файловым системам, чтобы искать документы и сведения для дальнейшей разведки сети. Для проксирования TCP-соединений применялся BARECLAW — написанный на C туннелер SOCKS5. Конфигурацию
Исследователи Google Threat Intelligence Group (GTIG) и Mandiant отметили глубокое знание внутреннего устройства BeyondTrust: атакующие использовали фирменные CLI-инструменты, шаблоны запуска и маршрутизацию локального обратного прокси. В числе названных исследователей — Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch и John Wolfram. В описании также говорится, что 27 сентября 2026 года BeyondTrust начала проверку после публичного сообщения об успешной атаке на другого поставщика средств безопасности.
Рекомендации по реагированию сводятся к ограничению внешнего доступа к устройству только необходимыми сервисами, сетевой и оперативной памяти форензике, изоляции подозрительных узлов и поиску неизвестных привилегированных сеансов. Для сохранения доказательств следует сделать снимок виртуального устройства или криминалистический образ физического. После проверки устройство рекомендуется восстановить из заведомо чистого состояния и установить BT26-05-RS. Указания приписаны американской стороне, но конкретное ведомство в описании не названо.
Изображение носит иллюстративный характер
Уязвимости присвоен номер CVE-2026-102764 и оценка 9,3 по CVSS. Причина — недостаточная проверка источника сообщений внутренними компонентами Remote Support. При определённых условиях удалённый атакующий мог выполнять файловые операции на устройстве. Система, которая была доступна из интернета и работала на уязвимой версии во время предполагаемой атаки, в описании рекомендуется считать потенциально скомпрометированной до завершения проверки.
Для клиентов Remote Support SaaS исправления, по имеющимся сведениям, развернули к 9 октября 2026 года. Владельцам локальных устройств на версиях с 24.3.1 по 26.2.3 предписано вручную установить патч BT26-05-RS. Тем, кто использует версию старше 24.3.1, сначала потребуется обновить продукт. CVE-2026-102764 также внесли в каталог известных эксплуатируемых уязвимостей правительства США. Для федеральных ведомств исполнительной ветви власти (FCEB) указан срок установки исправления — 19 октября 2026 года.
Armory Castle, по данным описания, действует как минимум с октября 2023 года и прежде использовала уязвимости нулевого дня в Citrix NetScaler (CVE-2023-4966) и Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282). Среди целей группы — юридические компании, SaaS-провайдеры, организации бизнес-аутсорсинга, технологические структуры и государственные учреждения. Её задача — длительный сбор разведывательной информации.
BeyondTrust связывает тактику группы с предварительным выбором ценных программных продуктов. По оценке компании, злоумышленники поддерживают рабочую модель целевого ПО в AI-среде и постоянно разрабатывают цепочки эксплойтов. Для маскировки они используют коммерческие VPN-узлы и взломанные домашние роутеры, а веб-шеллы помогают повышать привилегии, получать административный контроль и сохранять доступ после перезагрузки. После публичного раскрытия уязвимости группа может перейти от точечных атак к массовому поиску неустановленных обновлений.
В описанном проникновении атакующие получили root-доступ к хосту устройства: скопировали системную оболочку
/bin/sh в /usr/bin/dbus-authd, назначили копии владельца root и включили режим SUID. Затем они пытались извлечь сохранённые секреты через фирменную утилиту командной строки /ns/sbin/bt-secrets, предназначенную для работы с паролями, API-ключами и учётными данными конечных устройств. Также злоумышленники изучали шаблоны конфигурации BeyondTrust и искали способ получить права root без пароля для служебной учётной записи сайта. Имея учётные данные администратора, атакующие перемещались внутри приложения Remote Support и запускали сеансы к системам из списка Jump Item. Получив повышенные права, они открывали удалённые сеансы к внутренним узлам и добивались полного доступа к их файловым системам, чтобы искать документы и сведения для дальнейшей разведки сети. Для проксирования TCP-соединений применялся BARECLAW — написанный на C туннелер SOCKS5. Конфигурацию
/ns/config/haproxy.conf изменили так, чтобы к нему можно было обращаться напрямую из интернета; системные, веб-серверные и прикладные журналы злоумышленники удаляли. Исследователи Google Threat Intelligence Group (GTIG) и Mandiant отметили глубокое знание внутреннего устройства BeyondTrust: атакующие использовали фирменные CLI-инструменты, шаблоны запуска и маршрутизацию локального обратного прокси. В числе названных исследователей — Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch и John Wolfram. В описании также говорится, что 27 сентября 2026 года BeyondTrust начала проверку после публичного сообщения об успешной атаке на другого поставщика средств безопасности.
Рекомендации по реагированию сводятся к ограничению внешнего доступа к устройству только необходимыми сервисами, сетевой и оперативной памяти форензике, изоляции подозрительных узлов и поиску неизвестных привилегированных сеансов. Для сохранения доказательств следует сделать снимок виртуального устройства или криминалистический образ физического. После проверки устройство рекомендуется восстановить из заведомо чистого состояния и установить BT26-05-RS. Указания приписаны американской стороне, но конкретное ведомство в описании не названо.
